La Agencia Española de Protección de Datos ha publicado en enero de 2025 un documento orientativo sobre los riesgos asociados al tratamiento de imágenes de terceros mediante sistemas de inteligencia artificial. El texto sistematiza los criterios aplicables tanto a los efectos perceptibles de estos usos como a aquellos que resultan menos evidentes para usuarios y personas afectadas.
Concepto de dato personal en imágenes
Una imagen constituye dato personal cuando permite identificar o hace identificable a una persona. Esta identificación puede derivar del rostro, la voz, el cuerpo, los gestos, la vestimenta, tatuajes, el entorno, las relaciones con otras personas, o la combinación de varios de estos elementos. No resulta necesario que conste el nombre de la persona para que exista tratamiento de datos personales si la identificación es posible, aunque sea únicamente en el contexto de difusión. Este criterio se aplica tanto a imágenes reales como a las generadas o modificadas mediante sistemas de IA.
Tratamientos que constituyen estas operaciones
La carga, reenvío, transformación o generación de contenidos visuales a partir de la imagen de una persona constituye tratamiento de datos personales, con independencia de la finalidad perseguida o del carácter aparentemente trivial del uso. La operación implica, además, que la imagen sea tratada por un servicio externo para la generación de nuevo contenido y para potenciales tratamientos adicionales de la propia plataforma, incluyendo aprendizaje automático, conservación o comunicación a terceros.
Criterios para valorar los impactos visibles
El documento enumera los criterios aplicables a la valoración de riesgos derivados de la generación y difusión de imágenes de terceros:
La expectativa razonable y legitimación para el uso concreto: la disponibilidad previa de una fotografía en un grupo de mensajería o red social no equivale a autorización general para su carga en herramientas de IA, transformación o difusión del resultado. El nivel de exigencia de la base legitimadora aumenta proporcionalmente a la distancia entre el uso efectivo y el contexto original.
El alcance y facilidad de difusión: resulta relevante tanto el número de destinatarios como la facilidad de reenvío, copia, captura y republicación. Los mecanismos de amplificación de las redes sociales aceleran el impacto con independencia del origen del contenido.
La persistencia y posibilidad real de retirada: el riesgo aumenta cuando no es posible retirar de forma efectiva el contenido y sus copias. Las medidas ofrecidas por las plataformas no garantizan necesariamente la eliminación total.
La sexualización y contenido íntimo sintético: constituye señal de riesgo muy alto la adición de desnudez, erotización, insinuación sexual o escenas íntimas generadas a partir de una imagen neutra.
La atribución de hechos no reales: el riesgo surge cuando el contenido atribuye a una persona hechos, conductas o escenas que no ocurrieron y que resultan verosímiles o socialmente creíbles, afectando a la reputación, las relaciones personales o la posición social o profesional.
La descontextualización y reinterpretación: una imagen generada con IA puede causar daño si se presenta fuera de su contexto original o acompañada de textos que alteran su significado.
La vulnerabilidad de la persona afectada: el umbral de prudencia debe ser máximo con menores de edad, personas mayores, con discapacidad u otras situaciones de especial vulnerabilidad.
El impacto especial constatable: daños en relaciones personales o sociales, integridad física, ámbito laboral y profesional, daños psicológicos, contexto educativo, suplantación de identidad u otros efectos negativos jurídicos significativos.
Riesgos menos visibles en la carga de imágenes a sistemas de IA
El documento identifica riesgos que se producen por el mero hecho de subir una imagen a un sistema de IA, incluso cuando el resultado no se publica:
La pérdida de control por intervención de tercero tecnológico: el contenido pasa a ser tratado por un proveedor externo que decide, conforme a su diseño técnico y organizativo, cómo se procesa el archivo.
La retención técnica y copias no visibles: muchos sistemas conservan temporalmente las imágenes para procesamiento, gestión de errores o copias de seguridad, de forma no verificable para la persona afectada.
La intervención de múltiples actores: suelen participar infraestructuras de nube, servicios de almacenamiento, herramientas de moderación y personal técnico, ampliando el perímetro de acceso.
Las finalidades propias del proveedor: además de generar el resultado solicitado, el proveedor puede tratar las imágenes para seguridad del sistema, detección de usos indebidos, evaluación de calidad o mejora del funcionamiento.
La generación de metadatos e inferencias: los sistemas analizan automáticamente el contenido para detectar rostros, cuerpos o características y generar metadatos técnicos.
El riesgo de identificación persistente: algunas herramientas analizan y reutilizan rasgos de la imagen para que una persona aparezca de forma coherente en varias imágenes generadas, funcionando como base estable para múltiples contenidos.
La asimetría informativa: la persona afectada suele desconocer qué sistema se ha utilizado, qué ha ocurrido con su imagen o a quién dirigirse para ejercer sus derechos.
El riesgo de exposición por incidentes de seguridad: fallos técnicos, accesos indebidos o brechas pueden exponer las imágenes sin difusión voluntaria.
El efecto multiplicador: la facilidad de generar múltiples variantes aumenta la probabilidad de que aparezcan resultados lesivos en iteraciones posteriores.
Ámbito de actuación de la AEPD
El documento precisa que muchos de estos usos quedan fuera del ámbito de la normativa de protección de datos cuando se realizan de forma estrictamente personal o doméstica, sin proyección profesional ni difusión más allá de ese entorno. El tratamiento de imágenes de personas fallecidas tampoco se encuentra, como regla general, comprendido en dicho ámbito.
La Agencia señala que pueden verse afectados otros derechos fundamentales como el honor, la intimidad o la propia imagen, y que pueden resultar aplicables otras normas, incluido el Código Penal. Cuando concurran indicios claros de delito, la actuación corresponde a las autoridades policiales, la Fiscalía y los órganos judiciales.
La AEPD presta especial atención a los supuestos en que el uso de imágenes mediante IA incrementa significativamente los riesgos para la persona afectada, particularmente cuando se produce pérdida efectiva de control, se generan contenidos verosímiles que atribuyen hechos no ocurridos, se ven implicados menores o personas vulnerables, se introducen elementos de sexualización, humillación o descrédito, o se difunden contenidos en entornos de impacto especialmente intenso.
https://www.aepd.es/guias/guia-aepd-uso-de-imagenes-de-terceros-en-sistemas-ia.pdf